ISO 27001:2022 Annexe A Contrôle 5.17

Annexe A 5.17 Orientations sur l'attribution des informations d'authentification

Les organisations doivent respecter ces six exigences pour l’attribution et l’administration des informations d’authentification :

• Lors de l’inscription de nouveaux utilisateurs, les mots de passe personnels et les numéros d’identification personnels générés automatiquement doivent être impossibles à deviner. De plus, chaque utilisateur doit disposer d'un mot de passe unique et il est obligatoire de changer les mots de passe après la première utilisation.
• Les organisations doivent disposer de processus solides pour vérifier l'identité d'un utilisateur avant de lui fournir des informations d'authentification nouvelles ou de remplacement, ou de lui fournir des informations temporaires.
• Les organisations doivent garantir la transmission sécurisée des informations d'authentification aux individus via des voies sécurisées et ne doivent pas envoyer de telles informations via des messages électroniques non sécurisés (par exemple, du texte brut).
• Les utilisateurs doivent s'assurer qu'ils ont reçu les détails d'authentification.
• Les organisations doivent agir rapidement après avoir installé de nouveaux systèmes et logiciels informatiques, en modifiant immédiatement les détails d'authentification par défaut.
• Les organisations doivent établir et conserver de manière persistante des enregistrements de tous les événements importants liés à la gestion et à l'attribution des informations d'authentification. Ces enregistrements doivent rester confidentiels et les méthodes de conservation des enregistrements doivent être autorisées, par exemple avec l'utilisation d'un outil de mot de passe autorisé.

Annexe A 5.17 Orientations sur les responsabilités des utilisateurs

Les utilisateurs ayant accès aux informations d'authentification doivent être invités à respecter les points suivants :

• Les utilisateurs doivent garder confidentielles les informations d'authentification secrètes telles que les mots de passe et ne doivent pas les partager avec quiconque. Lorsque plusieurs utilisateurs sont impliqués dans l'utilisation des informations d'authentification ou que les informations sont liées à des entités non personnelles, ils ne doivent pas les divulguer à des personnes non autorisées.
• Les utilisateurs doivent changer leur mot de passe immédiatement si le secret de leur mot de passe a été violé.
• Les utilisateurs doivent sélectionner des mots de passe difficiles à deviner et forts, conformes aux normes de l'industrie. Par exemple:
• Les mots de passe ne doivent pas être basés sur des informations personnelles faciles à obtenir, telles que les noms ou les dates de naissance.
• Les mots de passe ne doivent pas être fondés sur des informations faciles à deviner.
• Les mots de passe ne doivent pas comprendre de mots ou de séquences de mots communs.
• Utilisez des caractères alphanumériques et des caractères spéciaux dans votre mot de passe.
• Les mots de passe doivent avoir une longueur minimale requise.
• Les utilisateurs ne doivent pas utiliser le même mot de passe pour différents services.
• Les organisations devraient faire en sorte que leurs employés acceptent la responsabilité de créer et d'utiliser des mots de passe dans leurs contrats de travail.

Annexe A 5.17 Orientations sur les systèmes de gestion des mots de passe

Les organisations doivent respecter les points suivants lors de la mise en place d’un système de gestion des mots de passe :

• Les utilisateurs doivent avoir la possibilité de créer et de modifier leurs mots de passe, avec une procédure de vérification en place pour détecter et rectifier toute erreur lors de la saisie des données.
• Les organisations doivent respecter les meilleures pratiques du secteur lors de l’élaboration d’un processus robuste de sélection de mots de passe.
• Les utilisateurs doivent modifier leurs mots de passe par défaut lors du premier accès à un système.
• Il est essentiel de changer les mots de passe le cas échéant. Par exemple, après un incident de sécurité ou lorsqu'un employé quitte son emploi et a accès à des mots de passe, un changement de mot de passe est nécessaire.
• Les mots de passe précédents ne doivent pas être recyclés.
• L'utilisation de mots de passe largement connus ou ayant fait l'objet d'un accès en violation de la sécurité ne devrait pas être autorisée pour accéder à des systèmes piratés.
• Lorsque les mots de passe sont saisis, ils doivent être affichés à l’écran en texte clair.
• Les mots de passe doivent être transmis et stockés via des canaux sécurisés dans un format sécurisé.

Les organisations doivent également mettre en œuvre des procédures de hachage et de cryptage conformes aux méthodes cryptographiques approuvées pour les mots de passe indiquées à l'annexe A. Contrôle 8.24 de la norme ISO 27001:2022.

Orientations supplémentaires sur le contrôle 5.17 de l’Annexe A

Outre les mots de passe, d'autres formes d'authentification, telles que les clés cryptographiques, les cartes à puce et les données biométriques telles que les empreintes digitales.

Les organisations doivent se tourner vers la série ISO/IEC 24760 pour obtenir des conseils supplémentaires sur les données d'authentification.

Compte tenu des tracas et des désagréments liés au changement régulier des mots de passe, les organisations peuvent envisager des alternatives telles que l’authentification unique ou les coffres-forts de mots de passe. Il convient toutefois de noter que ces options augmentent le risque que les informations d'authentification confidentielles soient exposées à des parties non autorisées.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001: 2022 L'Annexe A 5.17 remplace l'ISO 27001:2013 Annexe A 9.2.4, 9.3.1 et 9.4.3.

La norme ISO 27001 : 2022 contient une nouvelle exigence en matière d'attribution et de gestion des informations d'authentification

En 2013, les exigences en matière d'attribution et de gestion des informations d'authentification étaient très similaires. Cependant, ISO 27001:2022 Annexe A Contrôle 5.17 introduit une exigence qui n’existait pas en 2013.

Les organisations doivent créer et conserver des enregistrements pour tous les événements importants associés à la gestion et à la distribution des informations d'authentification. Ces enregistrements doivent rester confidentiels, avec des techniques de tenue de dossiers autorisées, par exemple l'utilisation d'un outil de mot de passe accepté.

La version 2022 contient une exigence supplémentaire concernant l'utilisation des informations d'authentification

ISO 27001:2022 Annexe A Contrôle 5.17 introduit une exigence relative aux responsabilités des utilisateurs qui n'était pas spécifiée dans le Contrôle 9.3.1 de la version 2013.

Les organisations devraient inclure des exigences en matière de mot de passe dans leurs contrats avec leurs employés et leur personnel. Ces exigences devraient couvrir la création et l’utilisation de mots de passe.

La norme ISO 27001 : 2013 contenait des exigences supplémentaires concernant les responsabilités des utilisateurs qui n'étaient pas incluses dans la version 2022.

Par rapport à la version 2022, le contrôle 9.3.1 contenait le mandat suivant pour l'utilisation des données d'authentification :

Les utilisateurs ne doivent pas utiliser les mêmes informations d'authentification, par exemple un mot de passe, à des fins professionnelles et non professionnelles.

La norme ISO 27001 : 2013 contenait une exigence supplémentaire pour les systèmes de gestion de mots de passe qui n'était pas incluse dans la version 2022.

Le contrôle 9.4.3 de la version 2013 exige que les systèmes de gestion des mots de passe :

Assurez-vous que les fichiers avec des mots de passe doivent être conservés sur un système différent de celui hébergeant les données de l'application.

La norme ISO 27001 : 2022, Annexe A, Contrôle 5.17 ne l’exige pas.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.

Comment l'aide d'ISMS.online

ISMS.Online permet aux organisations et aux entreprises de se conformer aux exigences de la norme ISO 27001:2022 en leur fournissant une plateforme qui facilite la gestion, la mise à jour, les tests et le suivi de l'efficacité de leurs politiques et procédures de confidentialité ou de non-divulgation.

Nous proposons une plateforme basée sur le cloud pour administrer la confidentialité et Systèmes de gestion de la sécurité de l'information, comprenant des clauses de non-divulgation, la gestion des risques, des politiques, des plans et des procédures, le tout dans un seul endroit pratique. Il est simple à utiliser, avec une interface intuitive qui facilite son apprentissage.

Contactez-nous aujourd'hui pour organiser une démonstration.